DSA / DMALes règlements européens qui redéfinissent les obligations des plateformes numériques
Deux règlements européens complémentaires : le DSA encadre la responsabilité des services en ligne, le DMA impose des règles de concurrence aux grandes plateformes « contrôleurs d’accès ».
Qu’est-ce que le DSA et le DMA ?
L’Union européenne a engagé depuis 2022 une transformation profonde de la régulation des plateformes numériques, avec deux règlements complémentaires qui redéfinissent les règles du jeu pour l’ensemble de l’économie numérique européenne. Le Digital Services Act (DSA) encadre la responsabilité des services intermédiaires en ligne face aux contenus illicites et aux risques systémiques. Le Digital Markets Act (DMA) cible les grandes plateformes systémiques, dites gatekeepers, pour garantir des marchés numériques plus équitables et contestables.
Ces deux textes sont pleinement applicables depuis 2024. Et les premières sanctions tombent : en décembre 2025, la Commission européenne a infligé une amende de 120 millions d’euros à la plateforme X pour violations du DSA, constituant la première sanction formelle au titre de ce règlement. En avril 2025, Apple et Meta ont respectivement écopé de 500 et 200 millions d’euros d’amendes pour violations du DMA.
En France, l’ARCOM a été désignée comme coordinateur national pour les services numériques, aux côtés de la CNIL et de la DGCCRF. Cette page vous présente les obligations clés du DSA et du DMA, les seuils d’application, les sanctions encourues et les étapes concrètes pour engager votre mise en conformité.
Le Digital Services Act (DSA)
Le règlement (UE) 2022/2065, dit DSA, est entièrement applicable depuis le 17 février 2024. Il s’applique à tous les fournisseurs de services intermédiaires en ligne proposant leurs services dans l’Union européenne, quelle que soit leur localisation géographique. Son objectif : responsabiliser les plateformes face aux contenus illicites et aux risques systémiques qu’elles génèrent, tout en renforçant la transparence et la protection des utilisateurs.
Le DSA adopte une approche graduée : plus une plateforme est grande, plus ses obligations sont étendues. Il distingue quatre catégories de services, soumis à des obligations croissantes :
- Les services d’accès à internet et de transmission (fournisseurs d’accès, réseaux de diffusion de contenu)
- Les services d’hébergement (hébergeurs, services cloud)
- Les plateformes en ligne (marketplaces, réseaux sociaux, stores d’applications)
- Les très grandes plateformes en ligne (VLOP) et très grands moteurs de recherche (VLOSE) : plus de 45 millions d’utilisateurs actifs mensuels dans l’UE
La Commission européenne a désigné 25 acteurs comme VLOP ou VLOSE, soumis aux obligations les plus strictes depuis le 25 août 2023. Les très petites entreprises (moins de 50 salariés et moins de 10 millions d’euros de chiffre d’affaires) sont exemptées de la plupart des obligations.
Le Digital Markets Act (DMA)
Le règlement (UE) 2022/1925, dit DMA, est entré en application le 2 mai 2023 et est pleinement applicable depuis le 6 mars 2024. Il cible spécifiquement les grandes plateformes systémiques, désignées comme gatekeepers (contrôleurs d’accès), qui occupent une position incontournable dans l’économie numérique européenne.
Pour être désigné gatekeeper, une plateforme doit remplir trois critères cumulatifs :
- Un chiffre d’affaires annuel d’au moins 7,5 milliards d’euros dans l’Espace Économique Européen, ou une capitalisation boursière d’au moins 75 milliards d’euros
- La fourniture d’un service de plateforme essentiel à au moins 45 millions d’utilisateurs actifs par mois dans l’UE
- Une position établie et durable sur le marché
La Commission européenne a désigné six gatekeepers en septembre 2023 : Alphabet (Google), Amazon, Apple, ByteDance (TikTok), Meta et Microsoft. Booking.com a été désigné en mai 2024. La Commission est l’unique autorité responsable de l’application du DMA au niveau européen.
Les exigences clés du DSA
-
L’évaluation annuelle des risques systémiques
Les VLOP et VLOSE doivent réaliser chaque année une évaluation des risques systémiques liés à leurs services. Cette évaluation couvre quatre catégories de risques :
- La diffusion de contenus illicites via leurs services
- Les effets négatifs sur les droits fondamentaux des utilisateurs
- Les effets négatifs sur les processus électoraux et le débat civique
- Les effets négatifs liés à la violence basée sur le genre et à la protection des mineurs
Les résultats de cette évaluation, ainsi que les mesures d’atténuation mises en œuvre, doivent être publiés dans les trois mois suivant leur réception par les plateformes. En 2026, l’ARCOM intensifie ses contrôles sur les systèmes d’IA des plateformes numériques, les plateformes devant publier un rapport de transparence annuel sur les risques systémiques liés à l’utilisation de systèmes d’IA.
-
L’audit indépendant annuel pour les VLOP et VLOSE
Les très grandes plateformes et moteurs de recherche doivent se soumettre à un audit indépendant annuel, réalisé par un organisme tiers accrédité. Cet audit évalue la conformité aux obligations du DSA, l’efficacité des mesures d’atténuation des risques systémiques, et la qualité des rapports de transparence. Les résultats doivent être publiés dans les trois mois suivant leur réception.
-
Les mécanismes de notification des contenus illicites
Toutes les plateformes en ligne doivent proposer un mécanisme simple et accessible permettant aux utilisateurs de signaler facilement les contenus illicites. Les plateformes doivent traiter ces signalements rapidement et informer l’utilisateur des suites données à son signalement, avec un exposé des motifs en cas de suppression ou de restriction de contenu. Un mécanisme de signalement anonyme pour les violations du DSA est accessible dans les 24 langues de l’UE.
-
La transparence des systèmes de recommandation
Les plateformes utilisant des systèmes de recommandation algorithmique doivent informer les utilisateurs des principaux paramètres utilisés pour personnaliser les contenus qui leur sont présentés. Les VLOP et VLOSE doivent proposer au moins une option de recommandation non basée sur le profilage comportemental des utilisateurs. Les obligations de transparence algorithmique s’appliquent dès qu’une plateforme utilise des systèmes de recommandation. L’ARCOM peut accéder aux données algorithmiques des plateformes et mandater des organismes de recherche pour examiner leurs algorithmes.
-
L’interdiction des interfaces trompeuses (dark patterns)
Depuis le 17 février 2024, le DSA interdit explicitement les interfaces conçues de façon à tromper les utilisateurs ou à les inciter à des actions non souhaitées, communément appelées dark patterns. Ces pratiques incluent les faux comptes à rebours, les abonnements difficiles à résilier, les cases pré-cochées, et les interfaces qui cachent les options défavorables à la plateforme. Selon une étude de la Commission européenne publiée en 2022, 97 % des applications mobiles populaires utilisent au moins un dark pattern.
-
La protection des mineurs
Le DSA impose des obligations spécifiques de protection des mineurs en ligne. Les plateformes doivent interdire la publicité ciblée envers les mineurs. Les VLOP doivent évaluer et atténuer les risques spécifiques liés à la protection des mineurs. Des lignes directrices sur la protection des mineurs ont été publiées par la Commission le 14 juillet 2025. En France, la vérification de l’âge pour accéder aux sites pornographiques est obligatoire depuis 2025.
-
L’accès aux données pour les chercheurs accrédités
Les VLOP et VLOSE doivent donner accès à leurs données aux chercheurs accrédités qui étudient les risques systémiques liés à leurs services, sous conditions d’indépendance et de sécurité. La première amende DSA infligée à X en décembre 2025 sanctionnait notamment l’entrave à l’accès des chercheurs aux données publiques.
Les exigences clés du DMA
-
Les obligations des gatekeepers
Les gatekeepers sont soumis à une vingtaine d’obligations précises, couvrant notamment :
- L’interopérabilité des services de messagerie instantanée avec des services tiers
- L’accès aux données générées par les utilisateurs pour les services concurrents
- L’interdiction de combiner des données provenant de différents services sans consentement explicite
- L’autorisation pour les vendeurs de promouvoir leurs offres en dehors des plateformes
- L’interdiction de favoriser leurs propres services dans les résultats de recherche ou de classement
- La désignation d’un ou plusieurs responsables de la conformité au DMA
Les gatekeepers doivent soumettre des rapports annuels sur leur conformité au DMA à la Commission européenne.
Le DSA et le DMA face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Calendrier d’application
-
Passé
Premières obligations pour les VLOP et VLOSE
Les 19 premières très grandes plateformes et moteurs de recherche désignés par la Commission doivent se conformer aux obligations renforcées du DSA depuis le 25 août 2023.
-
Passé
DSA applicable à toutes les plateformes
Le DSA est entièrement applicable à l’ensemble des fournisseurs de services intermédiaires depuis le 17 février 2024, avec des obligations proportionnées à leur taille.
-
Passé
DMA pleinement applicable
Les six gatekeepers désignés en septembre 2023 doivent se conformer à l’ensemble des obligations du DMA depuis le 6 mars 2024.
-
Passé
Premières enquêtes et sanctions
La Commission européenne ouvre des enquêtes contre X, TikTok, Meta et Shein pour violations potentielles du DSA. En avril 2025, Apple et Meta écopent de 500 et 200 millions d’euros d’amendes pour violations du DMA. En décembre 2025, X reçoit la première amende DSA de 120 millions d’euros.
-
En cours
Renforcement des contrôles
L’ARCOM intensifie ses contrôles en France. Un modèle obligatoire pour la rédaction des rapports de transparence est introduit à partir du second semestre 2025. La première révision du DMA par la Commission est prévue pour le 27 avril 2026.
Sanctions et risques en cas de non-conformité
Violations du DSA pour les VLOP et VLOSE
Des astreintes journalières peuvent être imposées pour forcer la mise en conformité. En cas de violations graves et répétées, la Commission peut prononcer une interdiction temporaire d’activité sur le marché unique européen.
Violations du DMA
Des astreintes allant jusqu’à 5 % du chiffre d’affaires journalier mondial peuvent être imposées. En cas de violations systémiques, la Commission peut imposer des mesures correctives comportementales ou structurelles.
Autorités compétentes
La Commission européenne est directement compétente pour les VLOP, VLOSE et les gatekeepers. En France, l’ARCOM est le coordinateur national pour les services numériques, aux côtés de la CNIL et de la DGCCRF. L’ARCOM dispose du pouvoir de sanctionner les acteurs français qui ne respectent pas leurs obligations au titre du DSA.
Les étapes de mise en conformité
-
Qualifier votre plateforme
La première action consiste à déterminer si votre organisation est concernée par le DSA ou le DMA, et à quel niveau. Les seuils clés à vérifier sont : le nombre d’utilisateurs actifs mensuels dans l’UE (45 millions pour le statut VLOP/VLOSE), le chiffre d’affaires annuel dans l’EEE et la capitalisation boursière pour le statut de gatekeeper.
-
Audit de risques systémiques
Pour les VLOP et VLOSE, l’évaluation annuelle des risques systémiques est une obligation centrale du DSA. Elle doit couvrir les quatre catégories de risques définies par le règlement et donner lieu à des mesures d’atténuation documentées et publiées.
-
Audit indépendant
Les VLOP et VLOSE doivent commander un audit indépendant annuel auprès d’un organisme tiers accrédité. Cet audit évalue la conformité aux obligations du DSA et l’efficacité des mesures d’atténuation des risques systémiques.
-
Transparence algorithmique
La mise en place des obligations de transparence des systèmes de recommandation implique d’informer les utilisateurs des paramètres de personnalisation, de proposer une option de recommandation non basée sur le profilage, et de documenter le fonctionnement des algorithmes pour les autorités de contrôle.
DSA / DMA en 4 questions
Mon entreprise est-elle concernée par le DSA ?
Toute organisation qui fournit des services intermédiaires en ligne à des utilisateurs établis dans l’UE est potentiellement concernée par le DSA, quelle que soit sa localisation. Les obligations varient selon la taille et la nature du service. Les très petites entreprises (moins de 50 salariés et moins de 10 millions d’euros de chiffre d’affaires) sont exemptées de la plupart des obligations. Les plateformes dépassant 45 millions d’utilisateurs actifs mensuels dans l’UE sont soumises aux obligations les plus strictes en tant que VLOP ou VLOSE.
Qu’est-ce qu’un dark pattern et pourquoi sont-ils interdits par le DSA ?
Les dark patterns sont des interfaces conçues pour tromper les utilisateurs ou les inciter à des actions non souhaitées : faux comptes à rebours, abonnements difficiles à résilier, cases pré-cochées, options défavorables cachées… Le DSA les interdit explicitement depuis le 17 février 2024, car ils portent atteinte à l’autonomie des utilisateurs et faussent leur consentement. La CNIL a également identifié plusieurs pratiques liées aux cookies qui constituent des dark patterns interdits.
Quelle est la différence entre le DSA et le DMA ?
Le DSA régule la responsabilité des plateformes face aux contenus illicites et aux risques systémiques, avec des obligations proportionnées à leur taille. Il s’applique à un large spectre de services intermédiaires. Le DMA cible spécifiquement les grandes plateformes systémiques (gatekeepers) pour garantir des marchés numériques équitables et contestables. Il impose des obligations précises sur l’interopérabilité, l’accès aux données et l’interdiction de certaines pratiques anticoncurrentielles. Les deux règlements sont complémentaires et s’appliquent simultanément aux plateformes qui remplissent les critères des deux textes.
Quelles sont les premières sanctions prononcées au titre du DSA et du DMA ?
Au titre du DMA, Apple et Meta ont respectivement écopé de 500 et 200 millions d’euros d’amendes en avril 2025 pour avoir restreint les développeurs d’applications. Au titre du DSA, la plateforme X a reçu la première amende formelle de 120 millions d’euros en décembre 2025, pour usage trompeur du badge de vérification, insuffisance du répertoire publicitaire, et entrave à l’accès des chercheurs aux données.
Votre conformité DSA / DMA avec Fidens
Évaluation des risques systémiques, audits indépendants, gouvernance de la conformité : nos consultants vous aident à répondre aux exigences du DSA et du DMA.
